🇰🇷 한글 설명
Aranda Service Desk 8.3.12 이전 버전의 Aranda File Server(AFS) 구성요소는 일별 활동 로그를 예측 가능한 이름으로 공개 접근 가능한 디렉터리에 저장합니다. 이로 인해 인증되지 않은 원격 공격자가 업로드된 파일의 가상 경로를 얻고, 접근 통제를 우회하여 개인식별정보(PII)가 포함된 민감한 문서를 다운로드할 수 있습니다.
💡 쉬운 설명
고객 상담 및 업무 관리에 쓰이는 Aranda 서비스 데스크 프로그램에서 파일 기록이 누구나 찾을 수 있는 곳에 저장됩니다. 로그인하지 않은 외부인도 이 기록으로 개인정보가 담긴 파일을 내려받을 수 있습니다.
🇺🇸 원문 (English)
The Aranda File Server (AFS) component in Aranda Software Aranda Service Desk before 8.3.12 stores daily activity logs with predictable names in a publicly accessible directory, which allows unauthenticated remote attackers to obtain direct virtual paths of uploaded files and bypass access controls to download sensitive documents containing PII.
📍 영향받는 시스템
Aranda Software Aranda Service Desk 8.3.12 미만 버전 (Aranda File Server 구성요소)
⚔️ 공격 벡터
인증 없이 예측 가능한 이름의 일별 활동 로그에 접근해 업로드 파일의 가상 경로를 확보한 뒤, 접근 통제를 우회하여 해당 파일을 직접 다운로드
🛡️ 대응 방법
Aranda Service Desk를 8.3.12 이상으로 업그레이드하고, 공개 디렉터리의 로그 파일을 제거하거나 접근을 차단하며, 노출된 PII 문서 유출 여부를 점검
🔧 검증 코드
결과에 Aranda 로그 파일이 웹 공개 경로(예: wwwroot, public 디렉터리)에 존재하고 외부에서 접근 가능하다면 취약 가능성이 있으며, 설치된 버전은 Aranda 관리 콘솔이나 설치 디렉터리의 버전 정보로 8.3.12 미만인지 확인해야 합니다.
find / -name "*.log" 2>/dev/null | grep -i aranda